DIVISION DE LYON
 Lyon, le 6 novembre 2015 N/Réf. : CODEP-LYO-2015-044799 Monsieur le Directeur du centre nucléaire de production d'électricité de Cruas-Meysse Électricité de France CNPE de Cruas-Meysse BP 30 07 350 CRUAS
Objet : Contrôle des installations nucléaires de base CNPE de Cruas - Meysse (INB n°111 et 112) Inspection du 9 octobre 2015 Thème : inspection réactive à la suite des incidents survenus au cours des opérations de redémarrage des réacteurs n°1 et 3 Référence : Code de l'environnement, notamment les articles L596-1 et suivants 

## Référence À Rappeler Dans La Réponse À Ce Courrier : Inssn-Lyo-2015-0782

Monsieur le Directeur, Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) concernant le contrôle des installations nucléaires de base prévu aux articles L596-1 et suivants du code de l'environnement, une inspection réactive a été menée le 9 octobre 2015 sur le CNPE de Cruas-Meysse à la suite des incidents survenus au cours des opérations de redémarrage des réacteurs n°1 et 3. A la suite des constatations faites, à cette occasion, par les inspecteurs, j'ai l'honneur de vous communiquer ci-dessous la synthèse de ces inspections ainsi que les principales demandes et observations qui en résultent. 

## Synthese De L'Inspection

L'inspection du 9 octobre 2015 avait pour objectif d'approfondir les éléments transmis par EDF à la suite de la déclaration de 7 évènements significatifs pour la sûreté en une douzaine de jours, dont 3 classés au niveau 1 de l'échelle INES, au cours des opérations de redémarrage des réacteurs n°1et 3 à l'issue de leur arrêt pour maintenance et rechargement respectif. L'ASN souhaitait en particulier connaitre les analyses réalisées et les dispositions mises en œuvre par EDF à la suite de cette succession rapide d'incidents et obtenir, plus particulièrement, des informations complémentaires sur les conditions ayant conduit à deux de ces évènements : 
- l'évènement survenu les 28 et 29 septembre 2015 sur le réacteur n°3, où le coincement en position ouverte d'une vanne du circuit d'injection de sécurité n'a été détecté qu'au bout de presque 24h ; 
- l'évènement survenu le 1er octobre 2015 sur le réacteur n°1, où à la suite de difficultés répétées sur une vanne du système d'alimentation de secours des générateurs de vapeur, EDF a relancé les opérations de redémarrage du réacteur alors que des vannes nécessaires au bon fonctionnement de 2 dispositifs de sauvegarde étaient restées fermées par erreur. 

Bien que cette série d'évènements significatifs révèle des erreurs et des dysfonctionnements dans l'organisation du CNPE de Cruas-Meysse, cette inspection s'est déroulée dans un climat de coopération et de transparence de la part du CNPE et ses agents. A l'issue de cette inspection, il semble que ces évènements n'ont pas de cause commune apparente, même si le contexte du redémarrage de 2 réacteurs en même temps et la charge de travail particulièrement importante associée a probablement joué un rôle dans plusieurs d'entre eux. L'analyse des premiers éléments disponibles sur ces évènements soulève néanmoins des questionnements sur certains sujets fondamentaux pour l'ASN, comme les opérations de conduite 
(consignations, surveillance en salle de commande), l'organisation mise en œuvre dans le cadre des arrêts de réacteur et le fonctionnement de la filière indépendante de sûreté. 

## Evènement Du 28 Septembre 2015 Sur Le Réacteur N°3 � Gestion Des Indisponibilités

 
Dans la nuit du 28 au 29 septembre 2015, à la fin d'un essai périodique, la protection thermique du moteur de la vanne 3 RIS 085 VB s'est déclenchée. L'évènement de groupe 1 « RIS 1 » des STE1 du réacteur, qui impose de replier le réacteur sous 1 heure, a été posé entre le déclenchement de la protection à 23h44 et l'acquittement du défaut à 00h00 par les agents du service Conduite. 

Le chef d'exploitation a ensuite contacté à 00h15 l'agent d'astreinte du service AEO2 pour approfondir les causes possibles de cet aléa. Les inspecteurs s'interrogent sur les conditions du retrait de l'évènement 1 RIS 1 et notamment sur :
- le fait qu'il ait été retiré avant même d'appeler l'agent d'astreinte du service AEO ; 
- la gestion des indisponibilités avec des délais de repli courts imposés par les STE, tout particulièrement en dehors des horaires normaux de travail. 

## � Communication

L'agent d'astreinte du service AEO a indiqué au chef d'exploitation qu'il n'était pas en mesure de se prononcer sur la disponibilité de la vanne sans réaliser un diagnostic, ce qui ne pouvait se faire qu'en rendant indisponible la vanne. Au cours de cet échange téléphonique, il semble cependant que le chef d'exploitation et l'agent du service AEO ne se sont pas compris : 
- l'agent du service AEO pensait qu'il était indispensable de réaliser un diagnostic de la vanne pour comprendre pourquoi la protection thermique du moteur s'était déclenchée ; 

- le chef d'exploitation a considéré que les règles générales d'exploitation lui interdisaient de rendre indisponible la vanne et donc de réaliser un diagnostic et il n'a pas perçu le bienfondé des doutes qu'il y avait quant au fonctionnement de le vanne. 
Les inspecteurs s'interrogent sur les raisons de cette incompréhension et sur le fait qu'elle n'ait pas pu être rattrapée (par l'ingénieur sûreté d'astreinte, par un deuxième échange entre le chef d'exploitation et le technicien, par les interrogations d'un autre agent du service Conduite, par les échanges lors des relèves, etc.). 

## � Recours Au « Doute À Terme »

Après cet échange le chef d'exploitation a confirmé, avec l'appui de l'ingénieur sûreté d'astreinte, que ce diagnostic n'était pas réalisable compte tenu du fait que les règles générales d'exploitation interdisent de rendre volontairement indisponible un matériel. 

Les inspecteurs s'interrogent sur les raisons qui ont conduit à ne pas envisager la possibilité de recourir à la notion de « doute à terme », qui peut permettre de rendre indisponible des matériels dans ce type de cas. 

## � Filière Indépendante De Sûreté

L'ingénieur sûreté d'astreinte n'a pas contacté l'agent d'astreinte du service AEO en parallèle de ses échanges avec le chef d'exploitation. Les échanges au cours de l'inspection du 9 octobre 2015 semblent montrer qu'il s'agit d'une pratique habituelle des ingénieurs sûreté lorsqu'ils sont appelés la nuit, afin de ne pas déranger deux fois de suite les agents d'astreinte des services techniques, alors même que ce contact serait systématique en journée. Les inspecteurs s'interrogent sur cette pratique : faute d'avis technique du service compétent, l'ingénieur sûreté est amené à faire sa propre analyse technique de la situation, ce qui peut l'induire en erreur. En outre, dans ces conditions, l'ingénieur sûreté est moins à même de porter la contradiction auprès du chef d'exploitation. Le lendemain, au cours de la journée du 29 septembre 2015, l'ingénieur sûreté d'astreinte s'est trouvé mobilisé par la préparation d'un GTS3 sur la problématique de la vanne 1 ASG 138 VV sur le réacteur n°1. De manière générale, l'ingénieur sûreté d'astreinte ou ses collègues en mesure de l'appuyer n'ont pas saisi suffisamment tôt qu'il existait un doute sérieux sur la disponibilité de la vanne 3 RIS 085 VB. Les inspecteurs s'interrogent sur l'organisation de la filière indépendante de sûreté lors des périodes particulièrement chargée, comme l'était celle de fin septembre 2015 avec le redémarrage en parallèle de 2 réacteurs et des aléas à traiter. Les inspecteurs s'interrogent notamment sur la répartition des missions entre l'ingénieur sûreté d'astreinte qui est en charge des 4 réacteurs du site hors heures ouvrés et les autres ingénieurs sûreté qui l'appuient en journée.

## � Organisation De L'Arrêt

Le matin du 29 septembre 2015 l'agent d'astreinte du service AEO a poursuivi son analyse et est arrivé à la conclusion qu'il n'était pas possible de statuer sur l'état de la vanne sans réaliser un diagnostic. Il a fait part de cet avis au CAP4 AEO détaché sur le projet d'arrêt du réacteur n°3 qui, après être arrivé aux mêmes conclusions, a repris le sujet et alerté les agents du projet d'arrêt du réacteur n°3. Par la suite, il a été demandé au CAP AEO de formaliser/approfondir son analyse et un troisième agent du service AEO a été sollicité et a abouti au même résultat au début d'après-midi. Le service AEO n'est cependant pas parvenu à fournir une analyse formalisée quant à la disponibilité de la vanne. Finalement, une réunion avec le chef d'exploitation et l'ingénieur sûreté a été déclenchée vers 17h et a conduit à considérer indisponible la vanne vers 18h, amorcer le repli du réacteur en application des STE et engager un diagnostic. Ce diagnostic a révélé vers 23h que la vanne était bloquée en position ouverte et donc factuellement indisponible depuis la veille.

Ce délai de presque 24h entre le blocage de la vanne et la détection de son indisponibilité n'est pas satisfaisant, même si finalement les bonnes décisions ont été prises. Il semblerait que, compte-tenu du fait que l'état réel de la vanne était incertain, les différents acteurs de l'arrêt ont été réticents à endosser la responsabilité d'une décision qui aurait pu conduire inutilement à l'arrêt des opérations de redémarrages et au repli du réacteur. 

Les inspecteurs s'interrogent à ce titre :
- sur le manque de portage au bon niveau de l'alerte émise par les agents du service AEO 
(en particulier : chef d'exploitation, filière indépendante de sûreté, chef du projet d'arrêt, hiérarchie du service AEO) ; 
- sur la communication générale mise en œuvre autours de cet arrêt, qui soulignait l'importance qu'il y avait à le « réussir ». 

## Evènement Du 1Er Octobre 2015 Sur Le Réacteur N°1 � Lignages Et Consignations

EDF a rencontré des difficultés au cours des opérations de redémarrage du réacteur n°1 sur la vanne 1 ASG 138 VV du circuit ASG5, qui ont nécessité d'intervenir à plusieurs reprises sur la vanne entre le 26 septembre et le 1er octobre 2015 (ces difficultés ont conduit, avec l'évènement du 1er octobre 2015, à la déclaration de 3 évènements significatifs pour la sûreté). Afin de réaliser ces interventions, l'exploitant a consigné le circuit pour permettre aux agents d'intervenir en toute sécurité, en condamnant notamment en position fermée les vannes 1 VVP 127, 128 et 129 VV. 

Le 1er octobre 2015, à l'issue de ces travaux, l'exploitant a déconsigné le circuit avant de reprendre les opérations de redémarrage du réacteur, mais ces 3 vannes ont été laissées en position fermée par erreur, ce qui rendait indisponibles : 
- la turbo-pompe du circuit d'alimentation de secours des générateurs de vapeur ;
- le turbo-alternateur de secours. 

Les inspecteurs s'interrogent sur la maîtrise opérationnelle des opérations de lignage et de consignation, d'autant que l'ASN a déjà été amenée par le passé à imposer au CNPE de CruasMeysse de renforcer le contrôle de ces opérations à la suite d'une succession d'évènements survenue en 2012 (décision 2012-DC-0313 du 10 juillet 2012).

## � Surveillance En Salle De Commande

La position fermée de ces vannes conduisait à la présence d'une alarme en salle de commande du réacteur n°1. Cette alarme, présente de manière justifiée les jours précédents, n'a cependant pas conduit les différentes personnes présentes en salle de commande lors des quarts de la nuit du 1er au 2 octobre 2015 et du matin du 2 octobre 2015 à détecter l'écart. Les inspecteurs ont en outre relevé que cette alarme n'avait pas été tracée sur le cahier de quart de la nuit du 1er au 2 octobre 2015, comme cela est requis, ce qui aurait pu permettre de détecter l'écart.

Les inspecteurs s'interrogent sur les raisons qui font que les agents de 3 équipes de quart successives n'ont pas réagi à la présence anormale de cette alarme en salle de commande, que ce soit à l'occasion des « tours de bloc », des relèves ou du renseignement du cahier de quart.

## � Gréement Des Équipes

Le référentiel applicable à la surveillance en salle de commande sur le CNPE de Cruas-Meysse prévoit, pour les périodes chargées, la présence d'un 3e opérateur dit « tête haute » en salle de commande. Ce 3e opérateur n'était cependant pas présent lors de cet évènement, apparemment du fait de la difficulté à gréer les équipes compte-tenu de prolongation de l'arrêt du réacteur n°1. Même si l'on ne peut pas être certain que ce 3e opérateur aurait détecté cet écart, il aurait néanmoins constitué une ligne de défense supplémentaire.

 

## � Pilotage

La visite décennale du réacteur n°1 a été prolongée de plusieurs semaines par rapport à sa durée initialement prévue. Afin de permettre aux agents du service S3P6 de commencer la préparation des futurs arrêts, la direction du CNPE de Cruas-Meysse a décidé d'anticiper le transfert du pilotage des activités réalisées sur le réacteur n°1 du projet TEA7 au projet TEM8. 

Ces équipes ne sont cependant pas organisées de la même manière et le projet TEM n'apporte pas le même appui que le projet TEA aux équipes de conduite. Cet appui aurait également pu constituer une ligne de défense supplémentaire pour détecter l'écart de position de ces 3 vannes du circuit VVP. Les inspecteurs s'interrogent sur l'impact sur cet évènement du passage de la gestion de la fin de la visite décennale du réacteur n°1 du projet TEA au projet TEM.

## � A. Demandes D'Actions Correctives

A la suite de la déclaration d'un évènement significatif pour la sûreté, vous devez transmettre à l'ASN sous 2 mois un compte-rendu détaillé de l'analyse que vous en faites et des actions correctives associées. Demande A1 : Je vous demande de vous assurer que les questionnements évoqués ci-dessus sont pris en compte dans le cadre des analyses que vous menez actuellement sur ces évènements. Demande A2 : Je vous demande par ailleurs de réaliser un retour d'expérience global de cette série d'évènements, notamment sous l'angle des facteurs sociaux, organisationnels et humains, qui semblent prépondérants dans les causes de ces évènements. Vous me présenterez les conclusions de cette étude. 

## � B. Demandes D'Informations Complementaires

Au cours de l'inspection, les inspecteurs ont souhaité connaitre les renforts associés à la période des 3e visites décennales des réacteurs du CNPE de Cruas-Meysse et du « grand carénage » engagé par EDF. Ces éléments n'ont pas pu leur être présentés en séance. 

# Demande B1 : Je Vous Demande De Me Préciser L'Évolution Des Effectifs Des Services Cd, Aeo, Mcr, St, Cepr, S3P Et Sif Entre 2010 Et 2015.

�

## C. Observations

Sans objet.

�
Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai de deux mois. Pour les engagements que vous seriez amenés à prendre, je vous demande de bien vouloir les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. Dans le cas où vous seriez contraint par la suite de modifier l'une de ces échéances, je vous demande également de m'en informer. Je vous prie d'agréer, Monsieur le Directeur, l'assurance de ma considération distinguée. 

L'adjoint au chef de division de Lyon de l'ASN 
 Signé par : 
Olivier VEYRET
8 